kokorina

.:video:girl:.

User info:

Registered: Nov 2002
Posts: 1821 (0.22 al dì)
Location: Milano
Corso: Comunicazione Digitale
Anno: 3°fc più o meno
Time Online: 40 Days, 23:49:06: [...]
Status: Offline

Post actions:

Stavo studiando sugli appunti la parte che riguarda il fw.
mi sembra di capire che esistono 4 tipi di firewall rispatto al livello a cui lavorano:
- data link
- rete
- trasporto
- applicazione

poi però ho appunti su questi tipi di fw:
- packet filter (che metterei nel livello trasporto)
- fw transport gateway (che metteri anche lui a livello trasporto)
- proxy (che metterei a livello applicazione)
- host gate (??? o based??? ho appunti contrastanti) che è un fw a sè stante che lavora con i processi e non può essere inserito nei 4 tipi sopra descritti.

è giusto quello che ho scritto?
non sono stati quindi fatti esempio su FW a livello data link e a livello rete?

grazie
koko

__________________
ogni mattina in africa quando sorge il sole una gazzella muore, cioè si sveglia ed è già morta perchè non stava tanto bene il giorno prima
in africa ogni mattina quando sorge il sole un leone si sveglia, appena sveglio inizia a correre per non fare la fine della gazzella non importa se sei crotalo o pavone, l'importante è che se muori me lo dici prima
"il tu che conosci è l'io che sono"
in RINO veritas

sullivan

User info:

Registered: Oct 2004
Posts: 86 (0.01 al dì)
Location:
Corso:
Anno:
Time Online: 9:13:18 [...]
Status: Offline

Post actions:

Ciao,

Originally posted by kokorina
Stavo studiando sugli appunti la parte che riguarda il fw.
mi sembra di capire che esistono 4 tipi di firewall rispatto al livello a cui lavorano:
- data link
- rete
- trasporto
- applicazione

poi però ho appunti su questi tipi di fw:
- packet filter (che metterei nel livello trasporto)
- fw transport gateway (che metteri anche lui a livello trasporto)
- proxy (che metterei a livello applicazione)
- host gate (??? o based??? ho appunti contrastanti) che è un fw a sè stante che lavora con i processi e non può essere inserito nei 4 tipi sopra descritti.

kokorina

.:video:girl:.

User info:

Registered: Nov 2002
Posts: 1821 (0.22 al dì)
Location: Milano
Corso: Comunicazione Digitale
Anno: 3°fc più o meno
Time Online: 40 Days, 23:49:06: [...]
Status: Offline

Post actions:

grazie!

__________________
ogni mattina in africa quando sorge il sole una gazzella muore, cioè si sveglia ed è già morta perchè non stava tanto bene il giorno prima
in africa ogni mattina quando sorge il sole un leone si sveglia, appena sveglio inizia a correre per non fare la fine della gazzella non importa se sei crotalo o pavone, l'importante è che se muori me lo dici prima
"il tu che conosci è l'io che sono"
in RINO veritas

citrus

.arcimaestro.

User info:

Registered: Oct 2003
Posts: 382 (0.05 al dì)
Location: como
Corso: com. digitale
Anno: 2
Time Online: 2 Days, 14:39:24 [...]
Status: Offline

Post actions:

mm ricapitolando....
a quello che ho capito (e studiato) io ci possono essere sostanzialmente 3 tipi di firewall:

- packet filter che lavorano a livello di rete (ip)
- packet filter che lavorano a livello di trasporto (tcp/udp)
- proxy che filtrano i pacchetti in base al contenuto applicativo (livello applicazione).

per ciascuna delle prime due tipologie poi il firewall può essere stateless o stateful, in quest'ultimo caso il firewall stesso è detto anche dinamico (dynamic packet filter).

Originally posted by sullivan

... Pensa ad esempio ad una regola che faccia passare solo i segmenti TCP con flag SYN (e solo quello) attivato, destinati ad una porta particolare...

così però qualcosa non mi quadra....
permettere il passaggio di pacchetti SYN significa abilitare connessioni tcp in ingresso (cosa che in genere è sconsigliata). se poi addirittura accetti SOLO pacchetti SYN (bloccando quindi gli ACK) significa impedire il completamento delle connessioni intasando così la tabella delle connessioni semi-aperte.
in parole povere questa regola "forzerebbe" attacchi DoS verso la tua macchina.... il che non sembra essere molto simpatico

se mi sbaglio correggetemi

kokorina

.:video:girl:.

User info:

Registered: Nov 2002
Posts: 1821 (0.22 al dì)
Location: Milano
Corso: Comunicazione Digitale
Anno: 3°fc più o meno
Time Online: 40 Days, 23:49:06: [...]
Status: Offline

Post actions:

Originally posted by citrus
- packet filter che lavorano a livello di rete (ip)
- packet filter che lavorano a livello di trasporto (tcp/udp)

in realtà da quello che ho capito io il fw packet filter lavora con entrambi i livelli...

- proxy che filtrano i pacchetti in base al contenuto applicativo (livello applicazione).

se a livello applicativo intendi a livello di protocolli applicativi (HTTP, FTP ecc) è corretto, se intendi a livello di processi (es IE) no.

così però qualcosa non mi quadra....
permettere il passaggio di pacchetti SYN significa abilitare connessioni tcp in ingresso (cosa che in genere è sconsigliata). se poi addirittura accetti SOLO pacchetti SYN (bloccando quindi gli ACK) significa impedire il completamento delle connessioni intasando così la tabella delle connessioni semi-aperte.
in parole povere questa regola "forzerebbe" attacchi DoS verso la tua macchina.... il che non sembra essere molto simpatico

se mi sbaglio correggetemi

Bhe non è detto, se è un fw packet filter stateful stai semplicemente permettendo che un host possa solo fare richieste di aperture di connessioni, ma che non possa mai rispondere ad un'apertura di connessione di qualcun'altro (se la regola implementa il SYN esclusivo e non un eventuale risposta con SYN/ACK)
Quindi in questo caso invece non lo "esponi" ad eventuali attacchi DoS SYN flood.
L'host a cui manda il SYN potrà invece stabilire la connessione in quanto il FW "memorizza" la sessione e non nega le risposte fino a quando la sessione non risulta conclusa.

se sbaglio io, correggetemi

__________________
ogni mattina in africa quando sorge il sole una gazzella muore, cioè si sveglia ed è già morta perchè non stava tanto bene il giorno prima
in africa ogni mattina quando sorge il sole un leone si sveglia, appena sveglio inizia a correre per non fare la fine della gazzella non importa se sei crotalo o pavone, l'importante è che se muori me lo dici prima
"il tu che conosci è l'io che sono"
in RINO veritas

Last edited by kokorina on 18-02-2006 at 23:54

sullivan

User info:

Registered: Oct 2004
Posts: 86 (0.01 al dì)
Location:
Corso:
Anno:
Time Online: 9:13:18 [...]
Status: Offline

Post actions:

Ciao,

Originally posted by citrus

così però qualcosa non mi quadra....
permettere il passaggio di pacchetti SYN significa abilitare connessioni tcp in ingresso (cosa che in genere è sconsigliata). se poi addirittura accetti SOLO pacchetti SYN (bloccando quindi gli ACK) significa impedire il completamento delle connessioni intasando così la tabella delle connessioni semi-aperte.
in parole povere questa regola "forzerebbe" attacchi DoS verso la tua macchina.... il che non sembra essere molto simpatico

kokorina

.:video:girl:.

User info:

Registered: Nov 2002
Posts: 1821 (0.22 al dì)
Location: Milano
Corso: Comunicazione Digitale
Anno: 3°fc più o meno
Time Online: 40 Days, 23:49:06: [...]
Status: Offline

Post actions:

Originally posted by sullivan
Sicuramente, come hai fatto notare, non ha senso avere una regola che, per una data porta (servizio) faccia passare SOLO segmenti con SYN attivato e solo quello e nient'altro, perche` poi non ci sarebbe possibilita` di scambio dati, anzi, neanche di completamento della 3-way handshake (sarebbe completata sulla macchina che e` dietro il firewall [e` un server, per quanto detto fin qui] ma non sulla macchina fuori, quella che ha iniziato il tentativo di connessione).

__________________
ogni mattina in africa quando sorge il sole una gazzella muore, cioè si sveglia ed è già morta perchè non stava tanto bene il giorno prima
in africa ogni mattina quando sorge il sole un leone si sveglia, appena sveglio inizia a correre per non fare la fine della gazzella non importa se sei crotalo o pavone, l'importante è che se muori me lo dici prima
"il tu che conosci è l'io che sono"
in RINO veritas

citrus

.arcimaestro.

User info:

Registered: Oct 2003
Posts: 382 (0.05 al dì)
Location: como
Corso: com. digitale
Anno: 2
Time Online: 2 Days, 14:39:24 [...]
Status: Offline

Post actions:

Originally posted by kokorina
in realtà da quello che ho capito io il fw packet filter lavora con entrambi i livelli...

si certo, poi le varie implementazioni dei firewall commerciali lavorano su più livelli contemporaneamente, ma credo sia cmq giusto fare una distinzione...

Originally posted by kokorina

se a livello applicativo intendi a livello di protocolli applicativi (HTTP, FTP ecc) è corretto, se intendi a livello di processi (es IE) no.

stiamo dicendo la stessa cosa....
infatti IE lavora su http,ftp,file ecc....
si tratta sempre del livello applicativo, quale sia poi il processo che gestisce il protocollo al firewall non interessa.

Originally posted by kokorina

Bhe non è detto, se è un fw packet filter stateful stai semplicemente permettendo che un host possa solo fare richieste di aperture di connessioni, ma che non possa mai rispondere ad un'apertura di connessione di qualcun'altro (se la regola implementa il SYN esclusivo e non un eventuale risposta con SYN/ACK)
Quindi in questo caso invece non lo "esponi" ad eventuali attacchi DoS SYN flood.
L'host a cui manda il SYN potrà invece stabilire la connessione in quanto il FW "memorizza" la sessione e non nega le risposte fino a quando la sessione non risulta conclusa.

nel caso di firewall stateful non è necessario impostare nessun flag, infatti i filtri dinamici sono in grado di riconoscere e gestire da soli le connessioni (questa è proprio la loro peculiarità).
l'uso dei flag è un "escamotage" per gestire il problema su firewall stateless (ovviamente solo per connessioni tcp).
...
premettendo quindi che la regola sia definita su un firewall semplice rimane cmq sbagliata (a mio parere).

infatti, sia che la regola sia rivolta ai pacchetti in entrata che a quelli in uscita, tu consenti l'inizializzazione di una connessione tcp ma non permetti che questa venga portata a termine.
e questo è il classico comportamento degli attacchi DoS.

la soluzione quindi potrebbe essere:
permettere tutti i pacchetti tcp in uscita (SYN,ACK e FIN) e bloccare solo i pacchetti SYN in entrata.
in questo modo permetti le connessioni verso l'esterno e consenti alla macchina remota di rispondere con dei pacchetti ack.
d'altro canto impedendo i pacchetti SYN in entrata impedisci alle macchine esterne di connettersi alla macchina locale.

dico bene?

sullivan

User info:

Registered: Oct 2004
Posts: 86 (0.01 al dì)
Location:
Corso:
Anno:
Time Online: 9:13:18 [...]
Status: Offline

Post actions:

Ciao,

Originally posted by kokorina
Perchè??
se è stateful non riesce comunque a concludere il 3-way handshake e lo scambio dati?

citrus

.arcimaestro.

User info:

Registered: Oct 2003
Posts: 382 (0.05 al dì)
Location: como
Corso: com. digitale
Anno: 2
Time Online: 2 Days, 14:39:24 [...]
Status: Offline

Post actions:

Originally posted by sullivan
Ciao,
L'intento dell'esempio era quello di evidenziare i livelli dai quali queste informazioni vengono reperite e non definire una regola efficace; cmq, colpa mia in quanto avrei potuto scegliere un esempio piu` significativo o piu` corretto :-)

bye,
Lorenzo

come non detto
cmq è stato interessante chiarire questi concetti
così almeno si fa un po' di ripasso no?